Cinco anos após o início das sanções da LGPD, levantamento da Datalege reúne dados que mostram avanço da fiscalização e lacunas em medidas básicas de proteção de dados
Mario Toews diz que muitas empresas ainda falham em medidas elementares de proteção de dados, desafiando a LGPD. Aniele Nascimento
A Agência Nacional de Proteção de Dados (ANPD) recebeu 362 comunicações de incidentes de segurança em 2025, média próxima de uma por dia. Ao mesmo tempo em que cresce a demanda relacionada a incidentes, ações recentes de fiscalização mostram que organizações ainda apresentam problemas em obrigações básicas previstas na Lei Geral de Proteção de Dados (LGPD), cinco anos após o início da aplicação das sanções administrativas.
Levantamento da Datalege Consultoria Empresarial, a partir de dados públicos da ANPD, Cetic.br/NIC.br e Sebrae, mostra que o problema vai além dos incidentes: há organizações que ainda falham em medidas elementares de proteção de dados, enquanto pesquisas nacionais revelam baixa adoção de práticas como planos de conformidade, políticas de resposta a incidentes e canais de atendimento aos titulares.
Os números mais recentes da ANPD reforçam esse cenário. Em monitoramento divulgado em julho de 2026, a Agência avaliou 56 agentes de tratamento – 39 órgãos públicos e 17 empresas privadas – quanto ao cumprimento de obrigações relacionadas à indicação do encarregado pelo tratamento de dados e à disponibilização de canais de comunicação entre controladores e titulares.
Dos 56 agentes monitorados, 27 atenderam integralmente às solicitações da ANPD. Outros oito ainda apresentavam pendências que deveriam ser corrigidas e 21 não responderam aos pedidos de adequação. De acordo com a Agência, esses últimos casos seguiram para avaliação das medidas cabíveis, inclusive eventual aplicação de sanções.
Para Mario Toews, diretor comercial da Datalege Consultoria Empresarial, o resultado chama atenção porque a fiscalização alcança obrigações que já deveriam estar incorporadas à governança das organizações. “Já são seis anos de vigência da LGPD e cinco do início das sanções. Não estamos mais falando de uma legislação nova. Quando uma fiscalização ainda encontra problemas relacionados ao encarregado de dados e ao próprio canal de comunicação com os titulares, fica evidente que parte das organizações não conseguiu transformar a LGPD em um processo permanente de gestão”, afirma Toews.
INCIDENTES
O Relatório Integrado de Gestão 2025 da ANPD também mostra o crescimento da demanda relacionada a incidentes de segurança. Entre 2021 e 2025, a Agência registrou 1.508 comunicações de incidentes. Somente em 2025 foram 362.
Além disso, a ANPD informou ter instaurado 81 processos de fiscalização ao longo de 2025 e respondido a 12.701 requerimentos de titulares de dados no período.
Para Toews, os números mostram por que a análise de risco empresarial não deve estar concentrada apenas na possibilidade de aplicação de multas. “Durante muito tempo, parte das empresas mediu o risco da LGPD olhando para o número de sanções aplicadas. O problema é que o impacto começa muito antes de uma eventual multa. Um incidente exige resposta rápida, conhecimento sobre os dados afetados, definição de responsabilidades e capacidade de demonstrar quais medidas de segurança e governança existiam antes do problema”, explica.
A atuação recente da ANPD mostra ainda que fiscalização em proteção de dados não se resume a vazamentos. Em julho de 2026, a Agência instaurou processo administrativo sancionador contra o Instituto Saúde e Cidadania (Isac), após incidente envolvendo dados pessoais sensíveis de aproximadamente 500 mil pacientes de unidades públicas de saúde.
O processo apura possíveis falhas relacionadas à proteção dos dados, à comunicação às pessoas afetadas e à adoção de medidas de segurança. A instauração do processo não significa condenação antecipada, e eventuais responsabilidades serão apuradas no procedimento administrativo.
Em junho, a Agência também anunciou processo administrativo sancionador contra a Claro para investigar indícios de irregularidades no compartilhamento de dados pessoais de clientes com a Serasa. Paralelamente, foi aberta nova fiscalização relacionada à Serasa para apurar questões envolvendo transparência e direitos dos titulares.
Toews comenta que os casos recentes colocam diferentes aspectos da LGPD sob fiscalização: segurança da informação, resposta a incidentes, compartilhamento de dados, transparência, direitos dos titulares, encarregado e canais de comunicação. “Uma empresa pode nunca ter sofrido um grande vazamento e, ainda assim, apresentar uma exposição importante. Se não sabe quais dados possui, onde estão armazenados, quem acessa, com quem são compartilhados ou como atender uma solicitação de titular, existe uma fragilidade de governança que pode aparecer justamente quando a organização é cobrada”, explica o especialista.
BAIXA ADESÃO DAS EMPRESAS
Os problemas identificados atualmente pela fiscalização da ANPD encontram paralelo em indicadores nacionais anteriores. Na pesquisa TIC Privacidade e Proteção de Dados Pessoais 2023, do Cetic.br/NIC.br, 32% das empresas que armazenavam dados de pessoas físicas informaram ter elaborado plano de conformidade ou adequação à proteção de dados.
O levantamento mostrou ainda que apenas 29% realizavam testes de segurança contra incidentes, como vazamentos, enquanto 25% possuíam política de incidentes de segurança envolvendo dados pessoais e 20% haviam elaborado relatório de impacto à proteção de dados pessoais.
Os dados disponíveis sobre os websites das empresas também revelaram lacunas de transparência. Entre aquelas que possuíam website, 32% disponibilizavam política de privacidade corporativa, 17% apresentavam nome e contato do encarregado ou responsável pela proteção de dados e 41% disponibilizavam canal para titulares tirarem dúvidas ou exercerem direitos previstos na LGPD.
Entre os pequenos negócios, outra pesquisa reforça a distância entre conhecimento e aplicação prática da legislação. Levantamento divulgado pelo Sebrae em fevereiro de 2025 apontou que 80% dos empreendedores pesquisados já tinham ouvido falar da LGPD, mas apenas 5% afirmavam conhecer muito sobre o assunto. Na mesma pesquisa, 77% disseram ainda não ter tomado providências relacionadas à LGPD em seus negócios.
“Existe uma diferença enorme entre saber que a LGPD existe e ter governança de dados. Uma política publicada no site é importante, mas não resolve sozinha questões de acesso, retenção, fornecedores, segurança, atendimento aos titulares ou resposta a incidentes. A empresa precisa conseguir demonstrar como esses controles funcionam na prática”, diz Toews.
SANÇÕES
As sanções administrativas previstas na LGPD passaram a ser aplicáveis em 1.º de agosto de 2021. Cinco anos depois, a legislação prevê diferentes consequências conforme a natureza e a gravidade da infração, sempre observados os critérios legais e o devido processo administrativo.
Entre as medidas previstas estão advertência; multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil, limitada a R$ 50 milhões por infração; multa diária; publicização da infração; bloqueio dos dados pessoais relacionados à irregularidade; e eliminação desses dados, entre outras sanções previstas na legislação.
Mas, na prática, os impactos podem começar antes da penalidade administrativa. Um incidente pode mobilizar direção, jurídico, comunicação e área de T.I., exigir investigação interna e demandar avaliação sobre a necessidade de comunicação à ANPD e aos titulares. Uma fiscalização pode exigir documentos, registros e evidências das medidas adotadas pela organização. “Outra questão importante é a atualização constante da política de segurança. Empresas que realizaram projetos de adequação nos primeiros anos da LGPD podem estar operando hoje em um ambiente completamente diferente”, ressalta.
Novos sistemas, fornecedores, serviços em nuvem, mudanças nos processos internos e, mais recentemente, o uso de ferramentas de inteligência artificial podem criar fluxos de dados que não existiam quando o primeiro mapeamento foi realizado. “Uma empresa que fez um projeto de LGPD quatro ou cinco anos atrás não pode presumir que continua no mesmo nível de conformidade. Se sistemas, fornecedores, processos e tecnologias mudaram, o programa de proteção de dados precisa acompanhar essas mudanças. LGPD não é um conjunto de documentos para arquivar; é um processo de governança”, afirma Toews.
Nenhum comentário:
Postar um comentário